MinIO LDAP 登录暴力破解，由于用户枚举和 github.com/minio/minio 中缺少速率限制

该漏洞的潜在影响非常严重。攻击者可以利用它来枚举 MinIO 系统中的用户，并尝试通过 LDAP 登录进行暴力破解。如果成功，攻击者可以获得对存储在 MinIO 中的数据的未经授权的访问，包括敏感的业务数据、用户凭据和其他机密信息。攻击者还可以利用这些访问权限进行横向移动，访问网络中的其他系统和资源。由于 MinIO 经常用于存储关键业务数据，因此该漏洞的爆发可能导致严重的业务中断和数据泄露。

Organizations heavily reliant on MinIO for data storage, particularly those using LDAP authentication for user access, are at significant risk. Environments with weak LDAP password policies or those lacking network segmentation are especially vulnerable. Shared hosting environments utilizing MinIO also pose a heightened risk due to potential cross-tenant exposure.

• linux / server:

journalctl -u minio -g ldap | grep "invalid credentials"

• generic web:

curl -I https://<minio_endpoint>/ | grep 'Server: MinIO' #Verify MinIO version

• linux / server:

ps aux | grep minio | grep ldap #Check for LDAP connections

1. 2026-03-20Disclosure

   disclosure

2. 2026-03-17Patch

   patch

1. 已保留2026-03-19
2. 发布日期2026-03-20
3. 修改日期2026-03-27
4. EPSS 更新日期2026-04-01

最有效的缓解措施是立即升级到受影响版本之后的修复版本 RELEASE.2026-03-17T21-25-16Z。在升级之前，请务必备份 MinIO 数据。如果升级会导致系统中断，可以考虑暂时禁用 LDAP 登录，并强制用户使用其他身份验证方法。此外，可以配置 WAF 或代理服务器，以阻止来自可疑 IP 地址的 LDAP 登录尝试。还可以实施速率限制，以防止暴力破解攻击。升级后，请验证 LDAP 登录是否正常工作，并检查 MinIO 日志中是否有任何异常活动。